SEGURANÇA DOS SERVIÇOS CLOUD

[Miguel Fonseca]

O Instituto Fraunhofer encontra vulnerabilidades de segurança nos serviços de armanezamente na Nuvem/Cloud

---

O Instituto Fraunhofer para a Informação Tecnológica Segura (Fraunhofer Institute for Secure Information Technologoy) - SIT - testou sete serviços que fornecem armazenamento na nuvem (cloud) e publicou os resultados num relatório de livre acesso, que, caso queiram uma maior e melhor explicação sobre todo o processo de Estudo e os resultados obtidos, aconselho-os a descarregarem e lerem (em Inglês).

Os autores deste relatório encontraram vulnerabilidades que afectam o registo e o processo de "login", a encriptação e o acesso partilhado aos dados em vários dos serviços.

O estudo centrou-se nos serviços, CloudMe, CrashPlan, Dropbox, Mozy, TeamDrive, Ubuntu One e o Wuala. Cada um deles pode ser acedido directamente através da instalação de um software pertença de cada serviço no Sistema Operativo do utilizador.

Os investigadores não tiveram em conta serviços como o Amazon's S3 que só estão acessíveis via uma API. Em resposta a perguntas por parte dos colaboradores do site HOnline à empresa Heise Security, um porta-voz confirmou que iria ser efectuado um Estudo subsequente tendo em conta outros grandes fornecedores deste tipo de serviços e que o mesmo já está a ser planeado.

As funções examinadas pelo Fraunhofer foram a Cópia, Backup, Sincronização e Partilha. Apenas o TeamDrive e o Wuala oferecem todas as quatro opções (features). O CrashPlan e o Mozy apenas oferecem a opção de Backup – opção a qual, não é oferecida pelo CloudMe, Dropbox ou o Ubuntu One.

O pior serviço em termos de performance, no que toca aos factores de Segurança dos que foram testados, foi o CloudMe. Este não encripta os dados, nem antes, nem durante a transferência dos mesmos. Os investigadores também criticaram o CrashPlan, o TeamDrive e o Wuala por usarem os seus próprios protocolos de encriptação não publicados (desconhecidos) em vez daquele que é o Standard, o SSL/TLS.

O CloudMe, o Dropbox e o Ubuntu One também perdem terreno pelo facto de não usarem a encriptação do lado do cliente (client-side encryption), isto significa que o fornecedor do serviço podia e pode ler (ter acesso) os dados do cliente. O Wuala oferece esta opção, mas o processo de encriptação usado pode permitir ao fornecedor a capacidade de reconhecer ficheiros duplicados

Tabela 1

Opções->	Copy	Backup	Sync.	Sharing
CloudMe	+			+
CrashPlan		+
DropBox	+		+	+
Mozy		+
TeamDrive	+	+	+	+
UbuntuOne	+		+	+
Wuala	+	+	+	+

Tabela 1 -> Opções (features) dos serviços de armazenamento na Nuvem (Cloud)


Tabela 2

Opções->	Registration	Transport	Encryption	Sharing	Deduplication
CloudMe	--	--	--	-	%
CrashPlan	+	+-	+	%	+
DropBox	-	+	-	+-	+
Mozy	+-	+	+-	%	-
TeamDrive	+-	+-	+	+-	%
UbuntuOne	++	+	--	++	+
Wuala	-	+-	+-	+-	-

Tabela 2 -> Pontuações: + + muito bom, + bom, ± algumas vulnerabilidades, - mau, - - muito mau, œ % não disponível




O Estudo dedica também um capítulo à parte legal. Os autores do Estudo notaram que o US Patriot Act (Lei do Acto Patriota dos EUA) influencia o nível de protecção relativamente aos dados guardados pelas companhias Americanas, tendo os utilizadores menos garantias do que os da União Europeia.
Das companhias estudadas, apenas o CloudMe (Suécia), o TeamDrive (Alemanha) e o Wuala (Suíça) não estão abrangidos pela jurisdição desta legislação.




Espero que este artigo ajude os utilizadores deste forum a ter em conta as opções disponíveis relativamente a este tipo de serviços e, a tomarem de forma informada, uma decisão sobre qual ou quais usarem tendo em conta o que pretendem e o que é efectivamente fornecido.


Não deixem de partilhar a vossa opinião e referirem o serviço ou serviços que utilizam.


FONTE: HOnline

Cumps.

[Gramathur]

Miguel obrigado pela informação e parabéns pelo excelente artigo.
Interessa-me muito este assunto.
Eu guardava meus arquivos pessoais e documentos, tais como comprovantes de ir. Tudo em uma conta do Megaupload, ao qual usava como drive virtual.
Tinha somente esta conta pessoal. E muito embora nunca tenha compartilhado arquivo ilegal, ainda assim perdi tudo.
E deixei de confiar nesta coisa de "nuvem". Literalmente nuvem! Porque é assim que vi meus arquivos se tornarem. Uma grande nuvem preta de fumaça.
No entanto ainda quero acreditar que em algum momento esta ideia, de drives virtuais, poderá ser algo confiável.
Portanto este tipo de pesquisa e sua respectiva divulgação, ajuda muito. Pois em algum momento poderemos encontrar um serviço que ofereça no mínimo uma garantia de confiabilidade de que em algum momento inesperado não iremos perder tudo o que temos!
Pelo menos é o que espero.

[abdo]

Boas Miguel / Gramatur

Ótimo artigo Miguel, alías com seus artigos vou conhecendo sites que nem imaginava que existiam, como é o caso agora do Teamdrive e do Wuala.

Quanto ao Dropbox tinha idéia de que fosse sujeito aos humores, prepotência e arrogância do governo norteamericano, mas achava que o Ubuntu One tivesse sua base no continente europeu e assim longe das garras americanas.
Alías ultimamente o governo americano tem deixado a desejar no que diz respeito aos direitos individuais, senão vejamos: Guantánamo, presos sem acusações definidas, sem direito a advogados, visita etc etc etc
Megaupload fechado e confiscadas as contas dos usuários, mesmo aquelas que só tinham arquivos de propriedade do correntista.
Mau, muito mau, para quem se denomina paladino da justiça e da liberdade...

Gramatur, igual a você também tinha arquivos meus no Megaupload, porem era uma conta recente e tinha apenas cópia de imposto de renda e outros sem nenhuma importância. Não os perdi porque tenho em meu netbook uma partição com 100gb só para guardar meus dados, independente de instalação do SO.

Agora uso 3 serviços que são o Dropbox, o UbuntuOne e o GDrive.
No Gdrive mantenho as arquivos que edito e imprimo ou envio por email, algum arquivo que eu queira compartilhar como por exemplo o pacote de wallpapper que disponibilizei aqui no forum, e outros arquivos sem maior importância, e a maioria deles tenho no meu pc.

No Ubuntu One estão todos os meus sites, estes lá estão pela facilidade que a sincronização permite, assim posso trabalhar a partir de qualquer máquina.

No Dropbox tenho então os arquivos gerais, como temas de icones, tema para o openbox, livros e apostilas em pdf, icones de aplicativos e logotipos diversos para usar em trabalhos etc... mas tudo isso está também no computador.

Agora depois deste artigo do Miguel acho que vou trocar o dropbox por algum destes outros serviços baseados na Europa, a duvida ficou entre o CloudMe e o Wuala.

E aí Miguel entre os dois, por qual você optaria?

abcs
abdo

[Miguel Fonseca]

Boas abdo, eu apenas uso estes serviços para o backup de imagens, favoritos e alguns documentos sem grande necessidade de segurança.

Como tal, uso desde 2006 (mais coisa menos coisa), o Sky Drive da Microsoft. Habituei-me desde então a utilizar este serviço e é aí que tenho o tal backup dos meus ficheiros, como já referi, sem grande importância, quer em termos pessoais, quer profissionais.

Mas, antes de enviar este artigo, li grande parte do Estudo original (em Inglês).
Se tivesse a necessidade de ter o máximo (possível) de segurança quanto aos meus dados pessoais e, tendo em conta todos os sete serviços Cloud aqui referenciados, optaria sem dúvida nenhuma pelo TeamDrive!

As razões a favor são, permitir as quatro opções (Cópia, Backup, Sincronização e Partilha, o uso do sistema de encriptação em relação aos dois lados da equação (cliente/servidor), a disponibilização de até 10GB de espaço de armazenamento gratuito e, a mais importante, o facto de não estar abrangido pela jurisdição da legislação de anti-liberdade dos EUA através do Patriot Act (basta dizer que o serviço tem sede na Alemanha!).

Mas e, há sempre um mas, existem dois contras, o sistema de encriptação usado não é o Standard (SSL/TLS) e não sabemos qual o usado e só está disponível em três línguas, o Inglês, Espanhol e Alemão.
Na minha opinião, razões que não são suficientes para não preferir este serviço aos demais.

Mas, nestas coisas, não há nada como testar e tirar as suas próprias conclusões.

Em princípio irei testar o Team Drive ainda esta semana.

Fiquei curioso.

Cumps.

[Ron Alon]

Eu só uso o Ubuntu One para sincronizar alguns arquivos que posto aqui e as fotos do Android com o computador, sem precisar fazer transferência por cabos e etc.

Quanto ao Dropbox, só utilizo para o AldikoSync, leitor de epubs do Android.

O GDrive, uso para os arquivos que tenho lá mesmo.

Essa coisa dos serviços cloud são complicadas mesmo. O melhor é utilizarmos nossas coisas físicas mesmo.

[Davysson Silva]

Muito bom artigo, também vou testar o TeamDrive aqui.
Agora o problema não é só nos Estados Unidos, vejam que querem fechar o the pirate bay e até acabar com os torrents.
Acho que não há lugar mais seguro que nosso HD.

[Ron Alon]

Muito bom artigo, também vou testar o TeamDrive aqui.
Agora o problema não é só nos Estados Unidos, vejam que querem fechar o the pirate bay e até acabar com os torrents.
Acho que não há lugar mais seguro que nosso HD.

Quero logo os servidores no espaço do TPB!

[Claudio Novais]

Olá Miguel,

Antes de mais tenho de dar os parabéns pela excelente matéria que é aqui apresentada. Aliás, este tipo de estudos comparativos sempre foram os meus artigos favoritos da área da informática! Sim, este tipo de estudos, pois é aqui que conhecemos realmente os softwares.

Quanto ao tópico em si, gostei da estrutura e ficou tudo explicado mais que suficiente e aquelas tabelas deram uma visão perfeita de todo esse estudo.

Relativamente às conclusões do estudo, mesmo eu gostando destes estudos fico sempre com um pé atrás quando se trata de empresas, uma vez que podem ser estudos influenciados por uma das empresas que pediu e pagou o estudo. No entanto, acredito que tenha sido este o caso.

Achei bastante interessante a maneira como eles abordaram o estudo, centrando-se claro na segurança. Só não compreendi o porquê do dropbox ter um "menos" no registo, uma vez que utiliza o https. Entretanto, sobre o serviço que realmente mais me atraiu pelos vários motivos que o Miguel já anunciou numa das respostas, foi sem dúvida o TeamDrive, que, infelizmente ou não, não tem o tal protocolo de comunicação ssl.

Em todo caso, esta problemática do SSL pode não ser nada, até porque eu sou adepto de um ssh tuneling para comunicações deste tipo. E se eles usassem isso para o TeamDrive, acreditem, não me parece que existisse segurança superior na comunicação. E, novamente, não se sabe se é mesmo esse o protocolo que usam.

Por fim, resta-me dizer que partilho o mesmo descontentamento para com o governo norte americano e sua maneira intrusiva completamente desleal ao seu cerne que era a liberdade. Por isso, sem dúvida que ter um serviço hospedado na Europa é uma mais valia.

Abraço e espero ver mais contribuições destas! Seja do Miguel seja de outros usuários!